הכירו את Aardvark: חוקר האבטחה האג'נטי של OpenAI

עדכון מ־6 במרץ 2026: Aardvark נקרא כעת Codex Security, וזמין בתצוגה מקדימה למחקר.

Aardvark משולב כעת ישירות ב־Codex בשם Codex Security, ונפתח בהדרגה ללקוחות ChatGPT Enterprise, Business ו־Edu דרך Codex באינטרנט, לשימוש בחינם בחודש הקרוב. לפרטים, ראו את הפוסט בבלוג שלנו כאן.⁠

היום אנחנו מכריזים על Aardvark, חוקר אבטחה אג'נטי המבוסס על GPT‑5.

אבטחת תוכנה היא אחת החזיתות הקריטיות והמאתגרות ביותר בעולם הטכנולוגיה. מדי שנה מתגלות עשרות אלפי חולשות חדשות בבסיסי קוד ארגוניים ובקוד פתוח. צוותי ההגנה ניצבים בפני משימה קשה: לאתר חולשות ולתקן אותן לפני שיריביהם יספיקו לנצל אותן. ב־OpenAI אנחנו פועלים להטות את מאזן הכוחות לטובת צוותי ההגנה.

Aardvark הוא פריצת דרך בחקר הבינה המלאכותית ובמחקר אבטחה: סוכן אוטונומי שיכול לעזור למפתחים ולצוותי אבטחה לגלות ולתקן חולשות אבטחה בהיקף נרחב. Aardvark זמין כעת בגרסת בטא פרטית, כדי לבחון ולשפר את יכולותיו בשטח.

Aardvark מנתח באופן רציף מאגרי קוד מקור כדי לזהות חולשות, להעריך את האפשרות לנצל אותן, לתעדף לפי חומרה ולהציע תיקונים ממוקדים.

Aardvark מנטר קומיטים ושינויים בבסיסי קוד, מזהה חולשות ואת הדרכים שבהן ניתן לנצל אותן, ומציע תיקונים. Aardvark אינו מסתמך על שיטות מסורתיות לניתוח תוכנות, כמו בדיקות פאזינג או ניתוח רכיבי תוכנה. במקום זאת, הוא משתמש ב־reasoning ובשימוש בכלים המבוססים על LLM כדי להבין את התנהגות הקוד ולזהות חולשות. Aardvark מחפש באגים בדומה לחוקר אבטחה אנושי: באמצעות קריאת קוד, ניתוחו, כתיבת בדיקות והרצתן, שימוש בכלים ועוד.

Aardvark מסתמך על תהליך רב־שלבי כדי לזהות חולשות, להסביר אותן ולתקן אותן:

• ניתוח: תחילה הוא מנתח את המאגר כולו כדי ליצור מודל איומים המשקף את הבנתו לגבי יעדי האבטחה של הפרויקט ותכנונו.

• סריקת קומיטים: עם הוספת קוד חדש, הוא סורק לאיתור חולשות באמצעות בחינת השינויים בכל קומיט בהקשר של המאגר כולו ושל מודל האיומים. כשמאגר מחובר לראשונה, Aardvark סורק את ההיסטוריה שלו כדי לזהות בעיות קיימות. Aardvark מסביר את החולשות שהוא מוצא שלב אחר שלב, ומוסיף הערות לקוד לצורך בדיקה אנושית.

• אימות: לאחר ש־Aardvark מזהה חולשה אפשרית, הוא מנסה להפעיל אותה בסביבת ארגז חול מבודדת כדי לוודא שניתן לנצל אותה. Aardvark מתאר את הצעדים שנקט כדי לסייע להבטיח שהמשתמשים יקבלו תובנות מדויקות ואיכותיות, עם שיעור נמוך של זיהויי שווא.

• תיקון: Aardvark משתלב עם Codex של OpenAI כדי לסייע בתיקון החולשות שהוא מוצא. לכל ממצא הוא מצרף תיקון שנוצר באמצעות Codex ונסרק על ידי Aardvark, לבדיקה אנושית ולהחלה יעילה בלחיצה אחת.

Aardvark עובד לצד מהנדסים ומשתלב עם GitHub, עם Codex ועם תהליכי עבודה קיימים, כדי לספק תובנות ברורות שאפשר לפעול על פיהן, בלי להאט את הפיתוח. אף ש־Aardvark נועד לאבטחה, בבדיקות שלנו מצאנו שהוא יכול לחשוף גם באגים כגון כשלים לוגיים, תיקונים חלקיים ובעיות פרטיות.

Aardvark נמצא בשימוש זה כמה חודשים ופועל ברציפות על בסיסי הקוד הפנימיים של OpenAI ועל אלה של שותפים חיצוניים בתוכנית האלפא. בתוך OpenAI הוא חשף חולשות משמעותיות ותרם לחיזוק מערך ההגנה של החברה. שותפים הדגישו את עומק הניתוח שלו: Aardvark מצא בעיות שמופיעות רק בתנאים מורכבים.

במבחני ביצועים על מאגרי ״תקן זהב״, Aardvark זיהה 92% מהחולשות המוכרות ומהחולשות שהוכנסו באופן סינתטי, והפגין שיעור כיסוי גבוה ויעילות בתנאי אמת.

Aardvark הופעל גם על פרויקטים בקוד פתוח, שבהם גילה חולשות רבות. דיווחנו עליהן במסגרת גילוי אחראי, ועשר מהן קיבלו מזהי CVE (חולשות וחשיפות נפוצות).

כמי שנהנים מעשרות שנים של מחקר פתוח וגילוי אחראי, אנחנו מחויבים להחזיר לקהילה — ולתרום כלים וממצאים שהופכים את המרחב הדיגיטלי לבטוח יותר לכולם. אנחנו מתכננים להציע סריקה ללא עלות למאגרי קוד פתוח לא־מסחריים נבחרים, כדי לתרום לאבטחת המערכת האקולוגית ושרשרת האספקה של תוכנות קוד פתוח.

לאחרונה עדכנו⁠ את מדיניות הגילוי המתואם שלנו לחולשות במוצרים חיצוניים⁠. המדיניות נוקטת גישה ידידותית למפתחים, שמתמקדת בשיתוף פעולה ובהשפעה בהיקף נרחב, במקום בלוחות זמנים נוקשים לחשיפה שעלולים להפעיל לחץ על מפתחים. אנחנו צופים שכלים כמו Aardvark יובילו לגילוי מספר הולך וגדל של באגים, ורוצים לשתף פעולה באופן בר־קיימא כדי לבנות חוסן לטווח ארוך.

התוכנה היא כיום התשתית של כל תעשייה — ולכן חולשות בתוכנה הן סיכון מערכתי לעסקים, לתשתיות ולחברה כולה. בשנת 2024 לבדה דווחו יותר מ־40,000 חולשות CVE. הבדיקות שלנו מראות שכ־1.2% מהקומיטים מכניסים באגים לקוד — שינויים קטנים שעלולות להיות להם השלכות גדולות בהרבה.

Aardvark מציג גישה חדשה שמעמידה את צוותי ההגנה במרכז: חוקר אבטחה אג'נטי שעובד בשותפות עם הצוותים ומספק הגנה רציפה ככל שהקוד מתפתח. באמצעות איתור מוקדם של חולשות, אימות האפשרות לנצל אותן בתנאי אמת והצעת תיקונים ברורים, Aardvark יכול לחזק את האבטחה בלי להאט את החדשנות. אנחנו מאמינים בהרחבת הגישה למומחיות בתחום האבטחה. אנחנו מתחילים בגרסת בטא פרטית ונרחיב את הזמינות ככל שנלמד.

אנחנו מזמינים שותפים נבחרים להצטרף לבטא הפרטית של Aardvark. המשתתפים יקבלו גישה מוקדמת ויעבדו ישירות עם הצוות שלנו כדי לשפר את דיוק הזיהוי, את תהליכי האימות ואת חוויית הדיווח.

אנחנו מבקשים לבחון את הביצועים במגוון סביבות. אם הארגון או פרויקט הקוד הפתוח שלכם מעוניינים להצטרף, אפשר להגיש בקשה כאן⁠.